Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - minimatch は、glob 式を JavaScript RegExp オブジェクトに変換するための最小マッチングユーティリティです。
    バージョン 10.2.3、 9.0.7、 8.0.6、 7.4.8、 6.2.2、 5.1.8、 4.2.5、 3.1.3より前では、「matchOne()」は、グロブパターンに複数の隣接しない「**」が含まれる場合、無限の再帰バックトラッキングを実行します。 GLOBstarセグメントと入力パスが一致しません。時間複雑性は O(C(n, k)) -- binomial -- ここで「n」はパスセグメントの数で、「k」は globstar の数です。k=11 および n=30 では、デフォルトの「minimatch()」API の呼び出しで、約 5 秒間ストールします。k=13 の場合、15 秒を超えます。この動作をバインドするためのメモリ化や呼び出しバインドが存在しません。攻撃者が「minimatch()」に渡されるグロブパターンに影響を与えることができるアプリケーションはすべて脆弱です。現実的なアタックサーフェスとして、ユーザー指定の glob 引数 (ESLint、Webpack、Rollup config) を受け入れるビルドツールやタスク実行者、1 つのテナントが共有プロセスで実行される glob ベースのルールを構成するマルチテナントシステム、は、ルールの無視またはフィルターの構成を glob として受け入れ、また CI/CD パイプラインは glob パターンが含まれているユーザー送信の構成ファイルを評価します。これらのパスのいずれかに細工されたパターンを配置できる攻撃者が、Node.jsイベントループを1呼び出しごとに数十秒停止させる可能性があります。パターンは 5 秒のストールで 56 バイトであり、パターン入力が機能の一部であるコンテキストでは認証を必要としません。バージョン 10.2.3、 9.0.7、 8.0.6、 7.4.8、 6.2.2、 5.1.8、 4.2.5、 3.1.3 では、この問題が修正されます。CVE-2026-27903

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-27903

high Nessus プラグイン ID 300455

バージョン 1.2